Segurança da Informação · FCC · 2026 | Questão sqc-fc077571

Segurança da InformaçãoAnálise de Vulnerabilidade e Gestão de Riscos

Código: fc077571
Banca: FCC
Órgão: SEFAZ-SP
Ano: 2026
Nível: Superior

Cargo: Auditor Fiscal da Receita Estadual - AFRE - Tecnologia da Informação e Comunicação - Conhecimentos Especificos (P3)

Um auditor interno de uma Secretaria da Fazenda está conduzindo uma avaliação de riscos de segurança da informação nos sistemas críticos de arrecadação. Para priorizar os esforços de tratamento e alocar recursos de forma eficiente, ele decide utilizar uma Matriz de Risco, que combina os níveis de probabilidade (Baixa, Média, Alta) e impacto (Baixo, Médio, Alto, Critico) para determinar a magnitude do risco. Em sua analise, ele identificou dois riscos específicos:- Risco A: Possibilidade de um funcionário, por descuido, enviar um arquivo contendo dados fiscais sigilosos por e-mail pessoal. O auditor estima que a probabilidade de isso ocorrer é alta, mas, considerando os controles atuais de monitoramento de rede e DLP, o impacto financeiro e reputacional seria Baixo se detectado rapidamente.- Risco B: Possibilidade de um ataque de ransomware direcionado a explorar uma vulnerabilidade não corrigida no servidor principal do sistema de impostos. A probabilidade é estimada como média, mas o impacto seria critico.Com base na metodologia de matriz de risco, a ação de tratamento prioritaria que o auditor deve recomendar com base na analise dos Riscos A e B é:

AAmbos os riscos têm a mesma prioridade, pois a matriz classifica riscos apenas pela probabilidade, que é Alta no Risco A e Média no Risco B, tornando o Risco A mais urgente.
BO Risco A deve ser tratado primeiro, pois uma probabilidade Alta sempre representa um perigo mais iminente, independentemente do impacto.
CO Risco B deve ser tratado primeiro, pois, em uma matriz, um risco com impacto Critico, mesmo com probabilidade Média, é prioritário.
DNenhum dos riscos precisa de ação imediata. O Risco A tem impacto Baixo e o Risco B tem probabilidade Média, portanto, ambos podem ser aceitos sem tratamento.
EA prioridade só pode ser definida após a implementação de novos controles para ambos, devendo o auditor aguardar uma nova medição.

Revelar gabarito e comentário

GabaritoC — O Risco B deve ser tratado primeiro, pois, em uma matriz, um risco com impacto Critico, mesmo com probabilidade Média, é prioritário.

Comentário gerado por IA. É um apoio ao estudo, ancorado em fontes, mas pode conter imprecisões — confira sempre na fonte oficial (lei, súmula, edital e gabarito da banca). Encontrou um erro? Use “Reportar”.

Matriz de Risco e Priorização de Tratamento

Gabarito: letra C. O Risco B (probabilidade Média, impacto Crítico) deve ser tratado primeiro, pois o produto probabilidade x impacto resulta em um nível de risco maior que o do Risco A (probabilidade Alta, impacto Baixo). Em uma matriz de risco típica, o nível de risco é determinado pela combinação dessas duas dimensões, e riscos com impacto Crítico, mesmo com probabilidade Média, tendem a gerar a maior magnitude, exigindo ação prioritária.

A banca testa o entendimento de que a prioridade não se baseia apenas na probabilidade, mas na conjugação com o impacto. O conteúdo de apoio sobre classificação de riscos (ex.: matriz com 3 níveis de probabilidade e 3 de impacto) confirma que valores mais altos (ex.: 6 e 9) indicam risco Alto, enquanto valores baixos (1 e 2) indicam risco Baixo. Embora a questão use uma escala com “Crítico”, a lógica se mantém: quanto maior o impacto, maior o peso na priorização.

Alternativa A — ❌ Incorreta

Afirma que ambos os riscos têm a mesma prioridade e que a matriz classifica riscos apenas pela probabilidade. Isso é falso: a matriz combina probabilidade e impacto. O Risco A (Alta x Baixo) gera um nível médio/baixo, enquanto o Risco B (Média x Crítico) gera um nível alto, portanto são diferentes.

Alternativa B — ❌ Incorreta

Alega que probabilidade Alta sempre representa perigo mais iminente, independentemente do impacto. Ignora que um impacto Baixo pode tornar o risco aceitável, enquanto um impacto Crítico com probabilidade Média pode ser catastrófico. A priorização deve considerar ambos os fatores.

Alternativa C — ✅ Correta ⟵ GABARITO

Reconhece que o Risco B, com impacto Crítico, é prioritário mesmo com probabilidade Média. Isso está de acordo com a metodologia de matriz de risco, onde riscos de maior severidade (impacto) têm precedência, sobretudo quando o impacto é Crítico.

Alternativa D — ❌ Incorreta

Sugere aceitar ambos os riscos sem tratamento, argumentando que o Risco A tem impacto Baixo e o Risco B probabilidade Média. Um risco de impacto Crítico não deve ser simplesmente aceito sem análise mais aprofundada – a prioridade é alta.

Alternativa E — ❌ Incorreta

Afirma que a prioridade só pode ser definida após implementar novos controles. Na verdade, a priorização ocorre antes do tratamento, com base na avaliação de riscos atual. Aguardar novas medições sem agir sobre um risco crítico é inadequado.

PEGA ESSA DICA!

Em questões de matriz de risco, sempre calcule o nível de risco multiplicando (ou combinando) probabilidade e impacto. Lembre-se de que um impacto muito alto pode elevar a prioridade mesmo com probabilidade moderada. Treine com diferentes escalas para fixar.

Gabarito: letra C.

Link permanente: /questoes/fc077571